HTTP/2 Bomb: il nuovo attacco DoS che abbatte i server in pochi secondi

Battezzato HTTP/2 Bomb, è attivo un nuovo schema di attacco Denial-of-Service (DoS) che permette a un singolo computer, sfruttando una banale connessione casalinga da 100 Mbps, di saturare decine di gigabyte di memoria RAM in pochi secondi, provocando il crash immediato dei server web più diffusi sul mercato. La vulnerabilità, identificata dall'agente software di intelligenza artificiale Codex di OpenAI sotto la guida del team di ricerca della società di sicurezza offensiva Calif, si basa sulla combinazione di due tecniche di attacco già note.

La sinergia distruttiva unisce l'amplificazione della compressione HPACK con la ritenzione delle risorse in stile Slowloris, quest'ultima ottenuta tramite lo stallo del controllo di flusso di HTTP/2. In sostanza, l'attaccante abusa del meccanismo di compressione degli header integrato nel protocollo HTTP/2. Inserendo un header nella tabella dinamica HPACK e richiamandolo ripetutamente con rappresentazioni indicizzate ultracompatte (grandi anche solo un singolo byte), l'attaccante costringe il server ad allocare enormi quantità di memoria. Il rapporto di amplificazione è spaventoso: su Envoy si arriva a 5.700:1, mentre su Apache httpd il fattore è di 4.000:1. Un singolo byte inviato si traduce in chilobyte di RAM occupati lato server.

I numeri del disastro: da zero a 64 GB di RAM saturi in meno di un minuto

La seconda fase del meccanismo impedisce il rilascio di questa memoria una volta completata la richiesta. Dichiarando una finestra di controllo del flusso pari a zero byte, il client malevolo costringe il server a inviare piccoli pacchetti WINDOW_UPDATE per evitare il timeout di connessione, congelando le richieste in uno stato di perenne incompletezza. I risultati dei test condotti dai ricercatori evidenziano l'estrema efficacia del vettore d'attacco, mettendo in luce la fragilità dei sistemi non aggiornati di fronte a problemi di sicurezza informatica di questa portata:

• Envoy 1.37.2: 32 GB di memoria RAM esauriti in appena 10 secondi.
• Apache httpd 2.4.67: 32 GB di RAM saturati in circa 18 secondi.
• nginx 1.29.7: 32 GB di RAM esauriti in circa 45 secondi.
• Microsoft IIS (Windows Server 2025): ben 64 GB di RAM consumati in 45 secondi.

Le difese tradizionali, come i limiti sulla dimensione massima degli header decodificati, vengono aggirate con facilità poiché i valori degli header usati nell'attacco sono microscopici. L'amplificazione avviene infatti a livello di gestione interna della memoria del web server. Attualmente, nginx ha risolto la vulnerabilità nella versione 1.29.8 introducendo la direttiva 'max_headers'. Apache ha rilasciato una patch in mod_http2 2.0.41, catalogando il bug come CVE-2026-49975. Al contrario, per Microsoft IIS, Envoy e Cloudflare Pingora non sono ancora disponibili correzioni ufficiali. Per questi sistemi l'unica mitigazione efficace consiste nel disattivare temporaneamente il protocollo HTTP/2 o interporre un reverse proxy o un firewall in grado di imporre limiti rigidi sul conteggio degli header.